要只更新指定包，必须用 composer update 包名，它仅升级所列包及其直接依赖，不递归整个依赖树；版本约束仍受 composer.json 限制，未声明的间接依赖无法通过此命令更新。
直接运行 composer update 会更新 composer.json 中所有满足版本约束的依赖，不是你想更新单个包时该用的方式。要只更新某一个（或几个）指定包，必须显式列出包名，且不能省略 update 子命令本身。
composer update 后面跟包名才是正确语法
很多人误以为加 --with-dependencies 或改写 require 就能局部更新，其实最简方案就是：composer update 后紧跟包名（可多个），Composer 会仅升级这些包及其满足新约束的直接依赖（不递归深挖整个依赖树）。
- 只更新
monolog/monolog：composer update monolog/monolog
- 同时更新两个包：
composer update doctrine/dbal guzzlehttp/guzzle
- 注意：不支持通配符（如
composer update "monolog/*"会报错） - 如果包名拼错或未在
composer.json中声明，命令会跳过并提示Nothing to install or update
为什么不用 composer require --update-with-dependencies？
composer require 的 --update-with-dependencies 是为「新增包时顺带升级其依赖」设计的，不是为已有包做局部更新。它会在安装新包的同时，把该包所依赖的、已在 composer.lock 中存在的旧版本也拉到最新兼容版——但这会连带升级一堆你没想动的包，行为不可控。
- 例如：
composer require phpunit/phpunit --update-with-dependencies
可能把你项目里的sebastian/exporter、doctrine/instantiator全部升级，哪怕你只想动 PHPUnit - 真正需要“只动一个包”，就别碰
require，回到update+ 包名
更新时版本约束怎么生效？
Composer 不会无视 composer.json 中的版本号。比如你写的是 "monolog/monolog": "^2.8"，那么 composer update monolog/monolog 最多升到 2.x 最新版（如 2.10.0），不会跨到 3.x——除非你先手动改了版本约束。
- 想强制升级到更高主版本？先改
composer.json："monolog/monolog": "^3.0"，再跑composer update monolog/monolog - 想锁死某个小版本（比如只允许
2.8.2）？用精确版本："monolog/monolog": "2.8.2"，然后执行 update - 若包已不在
composer.json中（只是被其他包间接引入），composer update xxx/xxx无效；必须先require进来再 update
真正容易被忽略的是：执行 composer update xxx 后，composer.lock 里所有被波及的包（包括该包的子依赖）都会更新时间戳和哈希值，但只有明确列出的包名才会触发版本号变更。如果你发现某些没列出来的包也被升级了，大概率是它们被你指定的包在新版本中声明了更严格的依赖要求——这是 Composer 的正常解析行为，不是 bug。
